公司合规风险防控三道防线

很多公司不是没设合规岗，而是三道防线之间没人说得清谁先动、谁复核、谁签字，出事时全挤到法务一个人身上。这篇按业务、合规、审计三条线的视角，拆开讲每一线管什么、交付什么、什么时候必须交叉，并给一套可照着落地的排布与自查清单。

很多公司不是没设合规岗，而是三道防线之间没人说得清谁先动、谁复核、谁签字。平时看着都在忙，真出事的时候全挤到法务一个人身上，业务说我只是执行，合规说我不知道有这回事，审计说我没查到。问题的根子不在人手，在于责任层次没切开。

这篇按业务、合规、审计三条线的视角拆开讲：每一线各自管什么、要交出什么东西、什么时候必须交叉，再给一套能照着落地的排布方式和自查清单。目标很朴素，让你开完一次管理会之后，能拿出一页纸写清谁在什么时候做什么。

三道防线到底在分什么：不是分部门，是分责任层次

先纠正一个常见误解。三道防线不是让你设三个部门，也不是组织架构图上画三条线。它分的是责任层次：风险在哪个环节产生、由谁负责发现、由谁负责独立验证。同一件事在不同阶段会落到不同线上，同一个人也可以在不同场景里切换角色，关键是切换的时候要有书面留痕。

第一线

业务与操作岗，风险在动作发生的那一刻产生，也在那一刻被识别，第一线是第一发现人

第二线

合规、风控、法务等职能，负责定规则、给工具、做复核，不替一线做业务决策

第三线

内部审计，只对治理层负责，查前两线有没有真的在跑，产出独立结论

判断你公司分线清不清，看一个场景就够：业务想上一个新流程，谁先说话、谁能否决、谁最后点头。如果三个人都答不上来，或者答出来的答案互相矛盾，那说明这三条线是虚的，制度文件写得再厚也顶不住。

第一线要交什么：把风险识别压到动作发生的那一步

第一线不需要写合规制度，那是二线的活。一线需要的是两样东西：一份「我这个岗位什么不能做」的负面清单，以及遇到边界情况找谁问的固定入口。负面清单要写成白话，能贴在工位上那种，不是抄一段法规原文。

• 每个高风险动作留可复核的原始记录，目的不是应付检查，而是出事时能还原当时的判断依据
• 有明确的提问通道和响应时限，一线拿不准的时候知道找谁、多久能得到回复
• 有一个人能在业务压力下叫停且不被追责，否则一线只会报喜不报忧
• 负面清单随业务变化更新，新增动作先过一遍清单再上线

一线最容易失效的情况是「业务指标压过合规判断」。这不是靠培训能解决的，得靠机制：谁有权叫停、叫停之后走什么流程、叫停的人会不会被算进绩效。这三点不落地，一线永远倾向于先干了再说。什么情况下不适用：业务动作高度标准化、几乎没有自由裁量空间的岗位，可以简化成检查表，不必强求负面清单。

第二线要交什么：规则、工具、复核节奏三件套

第二线的职责概括起来是定规则、给工具、做复核。听起来简单，做起来最容易出两个偏差：一是规则写成原则口号，比如「严格控制数据出境」，一线看完还是不知道该怎么办；二是复核没有节奏，想起来就查一次，想不起来就不查。

规则要落到可执行动作上。比如某类数据不得出境，就得落到具体表单字段、具体审批节点、具体谁有权放行。规则的可执行性有一个粗暴的检验方法：把规则给一个刚入职的人看，他能不能照着做对。做不对，规则就还得改。

第二线的边界很重要：不替一线干活，不替三线下结论，也不越位做业务决策。越位做业务决策，独立性就消失了，后面出问题的时候没人敢开口。什么情况下不适用：如果公司规模小到二线只有一个人，别硬撑完整流程，先把复核节奏和修订闭环跑起来，工具可以借用外部模板。

第三线要交什么：独立结论，以及敢写进报告的问题

第三线也就是内部审计，产出的是可追溯的检查结论与整改跟踪，不是「整体良好」这种形容词。一份能用的结论要写清样本范围、判断依据和限制条件。比如查了哪几类动作、抽了多少、按什么标准判断、哪些部分没有覆盖。这些说清楚，结论才有分量。

第三线的独立性靠汇报关系保证。如果内审负责人由被审计部门的上级兼任，那第三线实际上不存在，因为没人会认真写自己部门的坏话。这不是道德问题，是结构问题。要让第三线起作用，汇报路径必须绕开被审计对象，直达治理层。

1. 第一步，定检查范围按风险高低选样本，不按方便程度选，选完把范围写进检查方案
2. 第二步，跑检查并留底稿每个结论都要有对应证据，底稿是后面被人质疑时的唯一依靠
3. 第三步，出结论并限定条件写清样本范围、判断依据、没覆盖的地方，别用形容词下结论
4. 第四步，跟踪整改到关闭只开单不验收是最常见的失效点，每张单子要有责任人和关闭日期

内审发现问题之后，跟踪到关闭才算完。很多公司的内审报告写得挺到位，单子也开了，但过了半年再看，整改项还挂在那边，没人验收。这时候第三线名义上在，实际上已经断了。

三线之间的交接点：哪些动作必须交叉，哪些必须分开

三线之间最怕两种情况：该交叉的地方没人交叉，不该合并的地方硬合并。区分起来有个简单原则：涉及判断依据变化的动作要交叉，涉及自我评价的动作要分开。

• 必须交叉：新业务上线前的合规评估，三类线都要出意见，只看一家容易漏
• 必须交叉：重大事件的调查，业务、合规、审计各自独立取证再对结论
• 必须交叉：规则修订，二线起草、一线试用、三线看执行效果
• 必须分开：规则制定与规则执行效果检查，同一个人两头都占就是自己给自己发合格证
• 必须分开：风险处置决策与处置结果审计，决策和验证不能是同一双眼睛

建议用一张交接表把「谁发起、谁复核、谁审批、留什么痕」四列固定下来。这张表比开十次会更管用，因为会上达成的口头共识过两周就散了，表填完签个字就能一直挂着用。

什么情况下不适用：业务高度单一、风险敞口极小的小公司，硬凑三线反而增加内耗。可以合并，但要在制度里写明替代安排，比如由外部专业机构承担第三线职能，或者由治理层直接抽查。

不同规模怎么裁：小团队别照搬大公司结构

几十人的公司最常犯的错误，就是照着大公司的制度模板抄一套，抄完发现跑不动，最后放在文件夹里落灰。小团队的重点不是齐全，是把两条最关键的线跑通：谁问谁、谁叫停。制度文件可以后补，叫停机制不能缺。

快速扩张期的公司容易出现另一种失衡：一线权力过大，二线只有一个人，三线干脆没有。这时候优先补的是复核节奏，不是人员编制。一个人也能做复核，只要节奏固定、口径统一、结果有记录。等业务稳定了再考虑加人。

• 几十人阶段：负面清单加叫停机制，两条先跑，制度随后补
• 一两百人阶段：补复核节奏和交接表，二线从兼岗转为专职
• 持续扩张期：把第三线独立出来，汇报关系直达治理层
• 极简业务：可以合并防线，但替代安排必须写进制度，口头不算

失效信号与排查顺序：从现象倒推是哪条线断了

三线失效不会突然发生，通常先出现一些信号。看到信号之后，排查顺序很关键：先看动作有没有记录，再看规则有没有覆盖，再看复核有没有做，最后看审计有没有独立提出过问题。倒过来查，容易把责任全推给一线，然后问题照旧。

• 整改长期挂着不关，单子开了没人验收
• 同类问题反复出现，说明规则或复核环节没改
• 合规意见只在事后出现，事前评估形同虚设
• 内审报告连续几期没有实质问题，要么真没问题，要么没查到位
• 一线遇到边界情况找不到人问，或者问了没人回复

排查时对着信号定位断点。发现是第二线断的，优先补规则与抽样口径，把复核节奏固定下来；发现是第三线断的，先解决汇报关系，再谈检查方法，否则方法再好也写不出真问题。第一线断的判断依据最直接：高风险动作没有记录，或者记录明显是事后补的。

落地自查清单：一周内能做完的起步动作

不用等制度全部写完再动手。下面这套动作一周内能做完，做完之后再决定要不要调整结构。

1. 第一步，翻记录列出公司近三个月发生的五个高风险动作，逐个回答「当时依据什么、谁复核、记录在哪」，答不全的就是缺口
2. 第二步，写一页纸把三条线的负责人和交接表写成一页纸，给管理层确认，口头共识不算，要有签字或邮件留底
3. 第三步，定节奏定一个固定的复核节奏和一个整改关闭口径，写清楚多久查一次、查完怎么回写规则
4. 第四步，跑一个季度一个季度之后回头看，哪些动作没跑通、哪些环节没人管，再决定要不要加人或调结构

这四步的价值在于把讨论从「我们应该加强合规」变成「这件事谁做、什么时候做、做不出来怎么办」。前者开完会就忘了，后者能留下痕迹，下次出事的时候有据可查。如果你还想看不同规模公司的具体排布例子，可以到站内的指南中心翻一翻，那边有几篇按阶段拆的实操贴。要查官方接口和工具链的合规相关配置，也可以顺手看看模型资料库和工具目录，确认自己用的东西在合规层面有没有需要提前处理的点。